| Informe | 2016-0331 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (N/REF: 338785/2016)
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) analiza la conformidad con la Ley Orgánica 15/1999 (LOPD) y su Reglamento de desarrollo del Protocolo de actuación ante situaciones de violencia en el trabajo de la Comunidad Autónoma de Castilla y León, aprobado el 28 de julio de 2016. El protocolo regula la gestión de denuncias por violencia laboral, incluyendo el acceso de los Delegados de Prevención a documentación con datos personales de víctimas y presuntos agresores (identidad, informes, etc.) en fases de iniciación e investigación.
Cuestión principal:
La AEPD evalúa si la comunicación de estos datos a los Delegados de Prevención requiere consentimiento de los afectados o si el protocolo sirve de base jurídica suficiente para la cesión.
Análisis y conclusiones:
Falta de base jurídica en el protocolo:
El protocolo, al ser un acuerdo de la Mesa General de la Función Pública (no una norma legal), no constituye una base jurídica válida para ceder datos sin consentimiento, especialmente al tratarse de datos de salud (art. 7.3 LOPD). La confidencialidad se menciona como principio general, pero sin concreción específica.
Excepciones al consentimiento:
El artículo 11.2.a) LOPD permite ceder datos sin consentimiento si una norma con rango de ley lo autoriza. La AEPD examina si la Ley 31/1995 de Prevención de Riesgos Laborales (LPRL) y el Estatuto Básico del Empleado Público (EBEP) cubren esta cesión.
Habilitación legal según la LPRL:
Los Delegados de Prevención tienen funciones de vigilancia y control en materia preventiva (art. 36.2 LPRL), incluyendo acceso a información sobre daños a la salud de los trabajadores.
El artículo 36.2.b) LPRL permite el acceso a documentación necesaria para sus funciones, siempre que se garantice la confidencialidad.
El artículo 22.4 LPRL restringe el acceso a datos médicos, limitándolo al personal sanitario y autoridades competentes, salvo conclusiones sobre aptitud laboral o medidas preventivas.
Conclusiones de la AEPD:
Sí existe habilitación legal: Los Delegados de Prevención pueden acceder a datos personales de víctimas y agresores (identidad, informes de agresión) para cumplir sus funciones preventivas, sin necesidad de consentimiento.
Límites al acceso:
Solo podrán conocer datos estrictamente necesarios (gravedad y naturaleza de los daños, no información médica detallada).
Deben respetar el deber de sigilo profesional (art. 65 ET, art. 37.3 LPRL y art. 10 LOPD).
No se vulnera la LOPD: La cesión está amparada por la LPRL, que prevalece al ser una norma específica en prevención de riesgos laborales.
Recomendaciones:
El protocolo debería especificar los límites del acceso a datos y garantizar la confidencialidad, especialmente en lo relativo a información médica.
Se recuerda que el acceso debe ser proporcional y necesario para las funciones de los Delegados de Prevención.
En resumen: La AEPD considera que la cesión de datos a los Delegados de Prevención está justificada por la LPRL, sin requerir consentimiento, pero debe ajustarse a los principios de minimización de datos y confidencialidad.